Ce qu’il faut retenir
Le 6 novembre 2026, SonicWall a publié un bulletin de sécurité pour SonicOS (mis à jour le 9 novembre) qui corrige sept vulnérabilités. La plus importante, CVE-2026-19868 (CVSS 7.1), touche le VPN SSL lorsque l’authentification SAML est activée : une personne disposant d’identifiants valides pour une autre méthode d’authentification peut contourner les contrôles SAML, et donc le second facteur (MFA) imposé par SAML. SonicWall indique avoir enquêté sur un signalement d’exploitation potentielle, et la CISA américaine a ajouté cette faille à son catalogue des failles exploitées. Un correctif est disponible, ainsi qu’un contournement temporaire.
Qui est concerné ?
| Produit | Pare-feu SonicWall sous SonicOS : Gen7 (TZ, NSa, NSsp, NSv) et Gen8 (TZ, NSa, NSv), boîtiers physiques et appliances virtuelles |
| Versions concernées | SonicOS Gen7 en 7.3.3-7015 et antérieures ; SonicOS Gen8 en 8.2.2-8015 et antérieures |
| Versions corrigées | Gen7 : 7.3.4-7013 ou supérieure. Gen8 : 8.2.3-8015 ou supérieure |
| Condition | La faille CVE-2026-19868 ne concerne que le VPN SSL lorsque l’authentification SAML est activée pour les connexions VPN |
| Source | Bulletin officiel SonicWall |
Quel est le risque concret ?
Si votre VPN SSL est protégé par un second facteur via SAML (par exemple Microsoft Entra ID ou Okta), cette protection peut être contournée par quelqu’un qui connaît un mot de passe valide d’une autre méthode d’authentification configurée sur le pare-feu. Il peut alors ouvrir une session VPN sans passer par le second facteur, et donc accéder au réseau interne de l’entreprise. C’est précisément le scénario que le MFA est censé empêcher en cas de mot de passe volé. Les autres failles corrigées dans le même bulletin concernent surtout l’interface d’administration, le déni de service et les appliances virtuelles.
Priorité de traitement
Justification : faille déjà exploitée et listée par la CISA, qui contourne le second facteur du VPN ; un correctif et un contournement officiel existent.
Que faut-il faire ?
- Vérifier si votre pare-feu SonicWall est concerné : modèle Gen7 ou Gen8, VPN SSL activé et authentification SAML utilisée pour les connexions VPN.
- Mettre à jour SonicOS vers la version corrigée : 7.3.4-7013 ou supérieure (Gen7), 8.2.3-8015 ou supérieure (Gen8), après sauvegarde de la configuration.
- Si la mise à jour ne peut pas être faite tout de suite et que SAML est utilisé : désactiver ou supprimer les serveurs d’authentification LDAP, RADIUS et TACACS+ actifs sur le pare-feu (contournement officiel de SonicWall). Cela peut empêcher d’autres connexions qui s’appuient sur ces annuaires : à planifier avec votre prestataire.
- Surveiller les journaux du VPN pour repérer des connexions inhabituelles (heure, pays, compte) depuis la publication de la faille.
- Les six autres failles du bulletin sont corrigées par les mêmes versions : une seule mise à jour suffit.
Recommandation Chrysalead
Nous recommandons de mettre à jour les pare-feu SonicWall dont le VPN SSL utilise SAML dans les tout prochains jours, avant toute autre opération planifiée, puis de vérifier les journaux de connexion VPN. Si vous utilisez un pare-feu SonicWall et que vous n’êtes pas certain de la configuration de votre VPN, contactez-nous.
Détails techniques : les 7 vulnérabilités du bulletin
| CVE | CVSS | Composant | Impact (selon SonicWall) |
|---|---|---|---|
| CVE-2026-19868 | 7.1 | VPN SSL (SAML activé) | Contournement de l’authentification SAML, y compris du MFA, avec des identifiants valides d’une autre méthode (CWE-308). Exploitation potentielle signalée |
| CVE-2026-107155 | 8.8 | Interface d’administration | Politique inter-domaines trop permissive : opérations non autorisées possibles par un attaquant non authentifié, dans certaines conditions (CWE-942) |
| CVE-2026-107154 | 8.8 | Interface d’administration | Validation de session défaillante : opérations non autorisées possibles par un attaquant non authentifié, dans certaines conditions (CWE-291) |
| CVE-2026-82308 | 7.5 | VPN SSL | Dépassement de mémoire avant authentification : déni de service (CWE-122) |
| CVE-2026-77708 | 5.9 | Client TACACS+ | Dépassement de mémoire avant authentification : déni de service (CWE-121) |
| CVE-2026-77709 | 5.9 | Client TACACS+ | Dépassement de mémoire avant authentification : déni de service (CWE-122) |
| CVE-2026-19703 | 5.2 | Appliances virtuelles | Hachage de mot de passe faible : un attaquant ayant déjà un accès local peut obtenir un identifiant donnant accès à une partie limitée des réglages (CWE-916, CWE-798) |
La CISA a ajouté CVE-2026-19868 à son catalogue des failles exploitées (KEV) le 6 novembre 2026, avec une échéance de correction au 20 novembre 2026 pour les agences fédérales américaines.
Sources
Articles et services associés
- VPN SSL
- Connexion sécurisée qui permet à un collaborateur d’accéder au réseau de l’entreprise depuis l’extérieur.
- MFA (second facteur)
- Vérification supplémentaire en plus du mot de passe, par exemple un code sur le téléphone.
- SAML
- Mécanisme qui délègue la connexion à un fournisseur d’identité (Microsoft Entra ID, Okta…), souvent pour imposer le MFA.
- Faille exploitée
- Une faille déjà utilisée dans des attaques réelles, pas seulement théorique.
- CVE
- Identifiant public attribué à une vulnérabilité connue.
- CVSS
- Score de 0 à 10 qui évalue la gravité technique d’une vulnérabilité. Il ne mesure pas à lui seul l’impact sur l’activité d’une entreprise.
Cette alerte est une synthèse éditoriale rédigée par Chrysalead IT Services à partir du bulletin officiel de SonicWall (consulté le 12/11/2026). Les informations peuvent évoluer : vérifiez toujours la source officielle avant toute intervention sur vos équipements.